In einem White Paper macht US-Senator Mark Warner 20 Vorschläge, wie große Onlineplattformen an die Leine gelegt werden könnten. Von besserer Medienbildung für Kinder bis zu einer Interoperabilitätspflicht ist alles dabei.

Ein Druck- und Faxgerät des Hauptzollamtes München war über das öffentliche WLAN des Flughafens München erreichbar. Erst nach einem Hinweis des Projekts Internetwache.org wurde das Gerät aus dem WLAN entfernt und entsprechende Sicherungsmaßnahmen eingeleitet.
Ein Bericht von Sebastian Neef und Tim Philipp Schäfers

Die Befugnisse zum Abruf von Informationen über Konten bei Finanzdienstleistern werden ständig weiter ausgeweitet und immer häufiger genutzt. Berechtige Ämter haben allein im ersten Halbjahr 38 Prozent mehr Anträge gestellt und die Zahl auf 391.442 hochgeschraubt. An vorderster Stelle stehen Gerichtsvollzieher.
Von Justus Staufburg

Nach einer Wartezeit von mehr als 100 Tagen vermutet Curl-Entwickler Daniel Stenberg inzwischen, dass die USA ihm wohl auch ein zweites Mal die Einreise verweigern wird. Er kann damit nicht an den Konferenzen seines Arbeitgebers Mozilla teilnehmen.

Bisher gibt es kaum Informationen zur Auswirkung der Lücke im Bluetooth-Pairing auf Linux-Systeme. Es gibt zwar einen Patch, der das Problem grundlegend löst - und damit auch für andere Verwendungszwecke als Bluetooth dienen kann. Bis der Patch die Nutzer erreicht, dauert es aber wohl noch mehrere Wochen.

Bisher gibt es in den USA kein landesweites Datenschutzgesetz. Seit Juni haben sich Mitarbeiter des Wirtschaftsministeriums mit Google, Facebook und vielen anderen Technologiekonzernen getroffen, um das zu ändern. Die Motive sind vielfältig.

Telegram Passport ist eine Funktion, mit der Nutzer ihre Ausweisdaten in eine abgesicherte Cloud hochladen können. Drittanbieter können damit das Alter und die Identität prüfen, und Nutzer müssen nicht jedes Mal ihre Daten hochladen. Ein paar offene Fragen zur Sicherheit gibt es noch.

Mit den sogenannten Shielded VMs will Google die virtuellen Maschinen seiner Kunden vor Bootkits und Rootkits schützen. Für Container, die von Kubernetes verwaltet werden, gibt es künftig eine Authentifizierung, und die Container Registry durchsucht Container nach bekannten Sicherheitslücken.

Der Bundesgerichtshof hat ein Grundsatzurteil zur Haftung für offene Wi-Fi-Hotspots gesprochen. Das seit 2017 geltende neue Telemediengesetz mit der Abschaffung der Störerhaftung wurde bestätigt. Wenn Urheberrechte verletzt werden, kann aber eine Sperrung von Filesharing-Software verlangt werden.

Laden nach Verbrauch ist in Deutschland nach dem Eichrecht nicht erlaubt. Abgerechnet wird derzeit nur pauschal der Ladevorgang des Elektroautos. Das wird sich ändern: Die ersten beiden Module, die Abrechnung nach Zeit oder Strommenge ermöglichen, sind zugelassen und dürfen auf den Markt gebracht werden.

Ein in der Szene bekannter Cracker mit dem Pseudonym Voksi ist in Bulgarien angeklagt worden. Die Firma hinter der Anti-Tamper-Software Denuvo (Jurassic World Evolution) hat bestätigt, dass sie dafür mit den Behörden des Landes zusammengearbeitet hat.

Eine Schwachstelle bei der Implementierung der Verschlüsselung mit elliptischen Kurven im Bluetooth-Protokoll kann dazu genutzt werden, das Pairing von Bluetooth-Geräten anzugreifen. Grund dafür ist ein sogenannter Invalid-Curve-Angriff.

Mit der nun veröffentlichten Chrome-Version 68 warnt Google vor allen Webseiten, die noch mit ungeschützten HTTP-Verbindungen übertragen werden. Viele Seitenbetreiber dürfte das überraschen.

Ein unbekannter Entwickler verteilt die freie Officesuite Libreoffice über den Microsoft Store und bietet diese auch zum Kauf an. Die Macher von Libreoffice haben damit nichts zu tun und nennen das Angebot irreführend. Die App ist nicht mehr verfügbar.

Einen fremden Roboter über das Internet fernzusteuern, ist gar nicht so schwierig, haben US-Forscher festgestellt. Sie fanden diverse Roboter über das Netz und übernahmen die Kontrolle über einen. Die Wissenschaftler warnen vor dieser Schwachstelle.

Subdomain Takeover wird in der IT-Security- und Hacker-Szene immer beliebter. Denn mit der einfachen Übernahme einer verwaisten Subdomain lassen sich schöne Angriffe durchführen oder Bug Bountys von Unternehmen einstreichen.
Von Moritz Tremmel

Dirty Harry und seine Kollegen sind anscheinend wieder zurück: Die Verbraucherzentrale berichtet von vermehrten Betrugsversuchen durch angebliche Microsoft-Support-Mitarbeiter und gibt Tipps im Umgang mit diesen. Hilfreich: ein gesunder Menschenverstand.

Eine von Google in Kooperation mit Microsoft, Twitter und Facebook ins Leben gerufene Open-Source-Initiative will sich der Portabilität von Nutzerdaten annehmen und dafür entsprechende Werkzeuge entwickeln. Hilfreich sei das auch mit Blick auf die DSGVO.

Das Startup Digital Asset hat mit der Google Cloud eine Plattform für sein Blockchain-SDK DAML gefunden. Gleichzeitig ist das für Google eine Gelegenheit, ein momentan besonderes Produkt im Vergleich zur Konkurrenz zu bieten. Mögliche Anwendungsgebiete liegen in der Medizin und als Bezahldienst.

Ein Unbekannter stellte Funksprüche von Rettungsdiensten mit Namen und Adressen von Betroffenen aus dem Landkreis Recklinghausen ins Internet. Möglich ist das, weil die Daten über ein unverschlüsseltes Protokoll namens Pocsag verschickt werden.

Das Team von NetBSD hat Version 8.0 des freien Unix-Systems veröffentlicht. Neu sind die Unterstützung für USB 3, Reproducible Builds, neue Sicherheitstechniken und Patches gegen Meltdown und Spectre, die aber nicht zurückportiert werden.

Durch das Ausnutzen einer Sicherheitslücke konnte ein Forscher bis in Googles internes Netz vordringen und dort auf die Cluster-Verwaltung Borg zugreifen. Die Lücke ist geschlossen, der Forscher hat eine Prämie von Google erhalten.

Wer einsteigt, gibt sein Einverständnis, dass er gefilmt wird - warnte ein Aufkleber am Auto eines Fahrers, der für Uber und Lyft im Einsatz ist. Was der Aufkleber verschwieg: Das Video war im Internet abrufbar. Uber hat den Fahrer suspendiert.

Beim Bearbeiten der Flugbuchung oder beim Einchecken auf ba.com würden per URL persönliche Reisedaten an Dritte wie Twitter und Werbeunternehmen wie DoubleClick gesendet, sagt ein IT-Experte. Die Fluggesellschaft weiß von nichts und verweist auf ihre Cookie-Policy.

US-Präsident Trump windet sich weiterhin bei konkreten Schuldzuweisungen gegenüber Russland. Nach Angaben von Microsoft gehen die Attacken auf US-Politiker vor Wahlen unvermindert weiter.

Mit einer speziellen Variante der Nightly Builds des Firefox-Browses können Nutzer vollständig automatisiert nach Speicherfehlern suchen. Für damit eingereichte Berichte will Mozilla sogar Belohnungen verteilen.

Obwohl es 2017 weniger Fälle geleakter Zugangsdaten gab, blüht der Handel mit E-Mail-Adressen und Passwörtern wie eh und je. Das funktioniert auch deswegen so gut, weil Nutzer noch immer ein und dasselbe Passwort für verschiedene Konten verwenden.

Intel hat Sicherheitslücken in seinen proprietären Firmware-Komponenten ME und AMT geschlossen, die Angreifern das Ausführen von Code ermöglichen. Sicherheitsforscher vermuten, dass das Unternehmen die Veröffentlichung dazu absichtlich verzögert hat.

Zusätzlich zum Filtern von Systemaufrufen erstellt das Team von OpenBSD eine Technik, um Dateisystemzugriffe einer Anwendung weitgehend zu beschränken. Beide Techniken sollen sich ergänzen und das Ausführen von Anwendungen sicherer machen.

Audiosensoren im Bereich der Kassen könnten Walmart bald dabei helfen, die Effizienz der Bezahlvorgänge in den Supermärkten zu erhöhen. Mit der neuen Technologie können aber auch Mitarbeiter überwacht und Kundengespräche abgehört werden.

Wie versprochen, hat der Projekthoster Github seine Funktion zum Suchen nach und Warnen vor Sicherheitslücken auf Code erweitert, der in Python geschrieben ist. Nutzer sollen damit vor allem die Abhängigkeiten ihrer Projekte besser im Blick behalten können.

Trotz der Anklage gegen zwölf russische Geheimdienstoffiziere spielt US-Präsident Donald Trump die Einmischung Russlands in den US-Wahlkampf weiter herunter. Dafür wird ihm Verrat an den US-Interessen vorgeworfen.

Die unrechtmäßig erlangten Zertifikate wurden benutzt, um Schadsoftware zu signieren und diese zu Spionagezwecken einzusetzen. Betroffen sind davon auch Geräte von D-Link. Der Hersteller hat Firmware-Updates angekündigt.

Mit der TLS-Erweiterung SNI können beliebig viele Webseiten samt eigenen Zertifikaten auf einer IP gehostet werden. Dabei könnte jedoch der Name der Domain von Dritten belauscht werden. Ein Vorschlag der IETF sieht nun vor, SNI zu verschlüsseln.

Die US-Justiz hat zwölf russische Agenten wegen des Hacks im US-Präsidentschaftswahlkampf angeklagt. Die Anklageschrift nennt viele technische Details und erhebt auch Vorwürfe gegen das Enthüllungsportal Wikileaks.

Der Test am Berliner Südkreuz zur automatischen Gesichtserkennung läuft in Kürze aus. Die Kameras werden danach aber nicht abgeschaltet, sondern für einen anderen Versuch genutzt.

Die Hersteller von Spähsoftware befürchten offenbar einen Imageschaden durch ihre Produkte. Daher will die Bundesregierung nicht einmal dem Bundestag die Namen der Staatstrojaner-Hersteller nennen.

Facebook darf nach dem Tod von Nutzern deren Konten nicht sperren. Weder das Fernmeldegeheimnis noch der Datenschutz stünden dem vollen Zugriff der Erben entgegen, urteilte der Bundesgerichtshof .

Um Nutzer besser gegen Angriffe wie Spectre zu schützen, nutzt der Chrome-Browser nun standardmäßig eine strikte Isolierung von Webseiten. Bisherige Änderungen an Javascript gegen Spectre sollen aufgehoben werden. Das Team will gegen weitere Angriffsvektoren vorgehen.

Eigentlich soll die Browsererweiterung Ghostery unerwünschte Werbung blockieren. Doch nach der Übernahme des Programms durch den Browser Cliqz gibt es nun zielgerichtete Werbung - angeblich ohne Tracking.

Immer wieder kommt es per BGP-Hijacking zum Umleiten von Internetverkehr. Ebenso werden falsche BGP-Routen auch einfach weitergeleitet. Eine Auswertung zeigt, dass die großen ISPs hier zu wenig agieren. Es gibt aber auch Abhilfe gegen besonders bösartige Akteure.

Nach dem Datenskandal um die Analysefirma Cambridge Analytica droht Facebook in Großbritannien ein Bußgeld. Doch die höchstmögliche Strafe dürfte das Unternehmen gut verschmerzen können.

Die Zeugen Jehovas müssen bei ihren Hausbesuchen den Datenschutz beachten. Das gilt nach einem EuGH-Urteil auch dann, wenn Notizen nicht digitalisiert und zentral vorliegen.

Die aktuelle Version 1.8 der Firewall-Userspace-Werkzeuge Iptables für Linux trennt stärker zwischen dem alten Backend und dem neuen Nftables-Backend. Für letzteres gibt es einige neue Werkzeuge, darunter auch Übersetzungsskripte für die alten Firewall-Regeln.

Nach den EU-Datenschützern verliert nun auch das Europaparlament die Geduld: Die Datenvereinbarung mit den USA soll bald ausgesetzt werden, wenn es keinen besseren Datenschutz gibt.

Die auf Github gespiegelten Quellen der Linux-Distribution Gentoo sind vergangene Woche kurzzeitig von Angreifern übernommen worden. Diese waren demnach eher rabiat als vorsichtig. Das Team nutzt jetzt eine Zweifaktorauthentifzierung.

Die auf dem Treffen von Kim Jong-un und Donald Trump in Singapur verteilten USB-Lüfter sind vermutlich einfach nur Lüfter und enthalten keine Malware. Das ergab die Analyse eines Sicherheitsforschers der Universität Cambridge, der aber nur eines der Geräte untersucht hat.

Die Stiftung hinter der Open-Source-Prozessorarchitektur RISC-V hat ein Sicherheitskomitee eingerichtet. Das neue Gremium soll sich um Best Practices für eingebettete Systeme und IoT-Geräte kümmern.

Software, die Gesichter automatisch erkennt, wird inzwischen auch bei uns im öffentlichen Raum getestet. Ein US-Computersicherheitsexperte hat herausgefunden, wie Passanten sich schminken müssen, um der Gesichtserkennung zu entgehen.

Zwei Sicherheitslücken im Adobe Reader und in Windows hätten für raffinierte Angriffe auf Windows-Rechner missbraucht werden können. Jedoch verrieten sich die Angreifer dadurch, dass sie ihre exklusiven Zero-Days selbst beim Dienst Virustotal einstellten.